2018-2019-2 網絡對抗技術 20165230 Exp7 網絡欺詐防範

實驗目的

本實踐的目標理解經常使用網絡欺詐背後的原理，以提升防範意識，並提出具體防範方法。

實驗內容

• 簡單應用SET工具創建冒名網站
• ettercap DNS spoof
• 結合應用兩種技術，用DNS spoof引導特定訪問到冒名網站。

實驗步驟

（一）應用SET工具創建冒名網站

• 生成的釣魚網站若是使用https服務沒法驗證證書，所以釣魚網站要使用http服務，則要 sudo vi /etc/apache2/ports.conf將Apache的端口改成80

• 使用netstat -tupln | grep 80查看80端口占用狀況，
  

• 使用kill 進程ID殺死進程後再打開Apache服務
  

• 使用apachectl start啓動Apache服務
  

• 使用setoolkit打開SET工具
• 選擇參數：
  1 > Social-Engineering Attacks //社會學攻擊 2 > Website Attack Vectors //網站攻擊向量 3 > Credential Harvester Attack Method //攻擊方法是截取密碼 2 > Site Cloner //進行網站克隆

• 輸入kali的IP地址，也就是說，只要靶機訪問kali的IP地址時，其實打開的就是一個和克隆網站界面同樣的釣魚網站，這樣當用戶登陸時，咱們就能夠截取到用戶的用戶名和密碼了
  

• 輸入要假裝的網址
  

• 靶機訪問通過假裝以後的網址
  

• kali顯示鏈接信息
  

• 使用Url Shortener能夠將kali的IP地址假裝成另外一個連接
  

• 而後靶機毫無防備地輸入用戶名和密碼，kali也就默默地截取了，信息就這麼暴露了。
  

• 值得一提的是，嘗試了經常使用的幾個網站如郵箱、微博、博客園等，有的網頁會顯示亂碼而有的只能顯示鏈接信息卻沒法獲取用戶輸入的信息，多是由於原網站使用的是https服務，而釣魚網站沒法提供證書於是用戶沒法認證，不過也好，這樣比較安全。

（二）ettercap DNS spoof

• 輸入vi /etc/ettercap/etter.dns對DNS緩存表進行修改，先作個測試，將淘寶的域名與kali的IP相關聯
  

• 但願能監聽整個局域網絡的數據包，使用ifconfig eth0 promisc將網卡改成混雜模式

• 輸入ettercap -G打開ettercap，會彈出一個圖形化界面
  

• 點擊工具欄中的sniff -> unified sniffing，在彈出的界面中選擇eth0完成設置
  

• 點擊工具欄中的Hosts -> Scan for hosts，等待掃描完成後點擊Hosts -> Hosts list查看

• 能夠看到有四臺存活主機，將kali的網關地址設置爲TARGET1，將靶機的IP地址設置爲TARGET2，設置成功後能夠在控制檯看到結果
  

• 點擊工具欄中的Plugins -> Manage the plugins，雙擊dns_spoof選中，可在控制檯看到結果
  

• 點擊工具欄中的Start -> start sniffing，開始嗅探

• 看看效果如何：靶機用命令行ping www.taobao.com，能夠看到鏈接到的IP地址就是kali的IP地址，控制檯也能看到一個到kali的IP地址的鏈接。
  

• 至此，測試完成，咱們不須要將IP地址進行假裝就能夠實現攻擊了。

（三）應用兩種技術，用DNS spoof引導特定訪問到冒名網站

• 將第一個實驗中的原網址與kali的IP地址進行關聯

• 設置ettercap直至開始嗅探

• 靶機打開原網站，ettercap的控制檯顯示鏈接信息
  

• SET顯示鏈接信息並能截取用戶名與密碼
  

實驗問題回答

• 一般在什麼場景下容易受到DNS spoof攻擊
  • 當攻擊機與靶機位於同一局域網的時候容易受到DNS spoof攻擊
  • 對於公開的熱點或者是看起來像私人的熱點卻又不須要密碼的WiFi都要格外當心，不要輕易輸入本身的私密信息。
• 在平常生活工做中如何防範以上兩攻擊方法
  • 就第一種攻擊而言，釣魚網站的域名與真網站可能只相差一個字母或一個符號，在訪問網站的過程當中應仔細查看，避免上當
  • 對於不知道是否安全的熱點或WiFi，鏈接後不要輸入本身的我的信息或密碼
  • 此次實驗對於使用https服務的網站幾乎都成功不了，因此瀏覽網頁的時候最好關注一下是否使用的是https服務，若是不是的話最好不要輸入本身的私密信息

實驗總結

• 此次實驗經過本身作一個釣魚網站讓我之後刷微信在點開一個陌生網頁時候都會不由自主的看一下網頁內容對應的網址（雖然我能夠把網址對應的網站域名假裝的一一對應，反正也看不到內部arp對應關係），和心裏多出的細思微恐。
• 若是在商場裏極可能會連上免費的釣魚wifi，若是它竊聽你的數據那千萬不能拿免費wifi去作有關錢財等泄露我的信息的交易，這也給日常認爲作這些並沒有大礙的我上了一個警鐘！